2022年6月5日,成都链安链必应-区块链安全态势感知平台舆情监测显示,Bored Ape Yacht Club(无聊猿)的Discord社群遭受黑客钓鱼攻击,黑客获利约142 ETH。成都链安安全团队第一时间对事件进行了分析,结果如下。
#1 事件相关信息
国内外明星如麦当娜、史蒂芬·库里、周杰伦、林俊杰等都曾入手“无聊猿”系列NFT。今年1月,足球明星内马尔宣布以超过100万美元的价格购买了两只“无聊猿”NFT。而近期关于NFT的钓鱼攻击也逐渐增多,比如在“愚人节”当天周杰伦的无聊猿就曾遭遇钓鱼攻击。
Bitget推出3亿美元的可审计保护基金:金色财经报道,加密货币衍生品交易平台Bitget推出3亿美元的可审计保护基金,以加强合规性和透明度。该平台的保护基金主要由BTC以及少量的ETH和USDT组成。这些资金用于保护平台上存储的资产免遭黑客攻击、盗窃和其他威胁,Bitget承诺至少三年内不会动用这些资金,并维护可公开访问的钱包地址。该基金最近得到了支持,目前总额为3亿美元,并且存储在七个公开的钱包地址中以提高透明度。[2023/1/19 11:19:44]
在web3世界中,网络钓鱼主要通过twitter、discord、网站伪造等一系列手段实现,通常在过程中伴随着假托、在线聊天、下饵、等价交换、同情心等社会工程学攻击(详见维基百科:社会工程学),让人防不胜防。
Ripple将面对SEC针对XRP违反投资者保护法的诉讼:瑞波公司(Ripple)表示,将针对美国证券交易委员会(SEC)提起的诉讼进行辩护。SEC指控该公司在出售XRP时违反了投资者保护法。Ripple表示,该公司周一收到SEC通知,监管机构计划很快在联邦民事法庭起诉该公司、首席执行官Brad Garlinghouse和联合创始人Chris Larsen。Brad Garlinghouse表示,SEC“在法律和事实方面都是错误的”。据悉,这起诉讼围绕着该公司2012年推出的数字资产XRP在SEC注册的问题,注册涉及向SEC和公众披露公司的商业模式、风险和财务状况。(华尔街日报)[2020/12/22 16:03:49]
6月5日,BAYC在官方推特表示,其Discord服务器今天被短暂攻击,团队很快发现并解决了这个问题,但仍有价值约200 ETH的NFT受到了影响,目前团队正在调查,并建议受影响用户发送电子邮件与官方联系。
Tezos宣布推出物理安全模块保护Tezos网络验证器密钥:12月21日消息,Tezos宣布已与网络安全公司Hub Security合作开发了物理安全模块。该模块主要作用是保护Tezos网络验证器的加密密钥。其主要原理是,将网络验证器的加密密钥存储在云或物理硬件中,与计算机网络距离更远,同时允许网络保持正常运行。(Finance Magnates)[2020/12/21 15:58:14]
攻击者地址
0x1079061D37f7F3FD3295E4aAd02EcE4a3f20DE2d
动态 | Elixxir Blockchain推出BetaNet版本隐私保护平台:据bitcoinexchangeguide报道,Elixxir Blockchain宣布推出BetaNet版本的隐私保护平台,以保护元数据。发送者和接收者的身份以及发送消息的时间和地点将被模糊。[2019/4/12]
第一步,攻击者将钓鱼网站链接发布到官方社群。
第二步,攻击者通过钓鱼网站获得32个NFT,其中包含2个BAYC。
第三步,攻击者卖出钓鱼获得的NFT,通过外部地址,将142ETH发送到Tornado.cash。
截止发文时,攻击者地址累计转出154(约275944.9美元)ETH,其中有142(约254442.7美元)ETH进入了Tornado.cash。
近期,官方discord遭遇攻击的案例越来越多,经过成都链安安全团队分析,其原因可能有:
项目方员工遭受钓鱼攻击,导致账户被盗;
项目方下载恶意软件,导致账户被盗;
项目方未设置双因素认证且使用弱密码导致账户被盗;
项目方遭受钓鱼攻击,添加恶意书签从而绕过浏览器同源策略,导致项目方Discord token被盗。
防技巧
作为项目方,应采用官方建议的使用双因素认证、设置强密码等安全操作来保护账户;项目方要警惕针对自己的各种传统网络攻击和社会工程学攻击,避免下载恶意软件,避免访问钓鱼网站。
作为web3用户,应首先具备这样的意识:官方discord账户被盗越来越频繁,官方发布的消息也可能是钓鱼信息,官方不等于绝对安全。此外,在任何需要自己授权或交易的地方都需要谨慎,尽量从多个渠道进行信息交叉确认。
-?马上进行资产隔离,尽快将剩余资产转移到安全位置,避免更大的损失;
-?主动发布声明,告知大家被盗账户的相关信息,避免危及朋友和社区;
-?尽可能保留证据,寻求项目方或机构进行后续处理;
-?可寻求专业的安全公司进行资金追踪,如成都链安。
最后,建议记录并分享被经历,与大家共勉。反钓鱼反,需要每个人都重视,也需要每个人都参与。
来源:成都链安
郑重声明: 本文版权归原作者所有, 转载文章仅为传播更多信息之目的, 如作者信息标记有误, 请第一时间联系我们修改或删除, 多谢。